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Gesetzentwurf 

des Bundesrates 


Entwurf eines Gesetzes zur Änderung des Bundesdatenschutzgesetzes 


A. Problem und Ziel 

Das Bundesdatenschutzgesetz legt für alle nicht öffentlichen Stellen fest, dass 
Verfahren zur automatisierten Verarbeitung personenbezogener Daten vor ihrer 
Inbetriebnahme grundsätzlich der zuständigen Aufsichtsbehörde zu melden 
sind. Diese Meldepflicht ist sowohl für die jeweilige verantwortliche Stelle als 
auch die Aufsichtsbehörde mit einem nicht unerheblichen bürokratischen Auf- 
wand verbunden. 

Das Bundesdatenschutzgesetz sieht allerdings Ausnahmen von der Meldepflicht 
vor. Zum einen entfällt eine Meldung, weim die verantwortliche Stelle einen Be- 
auftragten für den Datenschutz bestellt hat, und zum anderen, wenn mit der Erhe- 
bung, Verarbeitung oder Nutzung der personenbezogenen Daten für eigene Zwe- 
cke höchstens vier Arbeitnehmer beschäftigt sind und eine Einwilligung der 
Betroffenen vorliegt oder die Erhebung, Verarbeitung oder Nutzung der Zweck- 
bestimmung eines Vertragsverhältnisses oder vertragsähnlichen Vertrauensver- 
hältnisses mit den Betroffenen dient. Die Bestellung eines Datenschutzbeauf- 
tragten als wichtige Maßnahme der Selbstkontrolle des Datenschutzes für nicht 
öffentliche Stellen ist wiederum für den Fall vorgesehen, dass wenigstens fünf 
Arbeitnehmer in automatisierter oder mindestens zwanzig Personen auf „ande- 
re“ Weise personenbezogene Daten erheben, verarbeiten oder nutzen. 

ln den letzten Jahren haben sich jedoch nicht nur die zu Grunde liegenden Le- 
benssachverhalte erheblich verändert, auch der technische Wandel hat eine weite 
Verbreitung automatisierter Verarbeitungsformen in fast allen Lebensbereichen 
mit sich gebracht. So hat die zunehmende Automation des Zahlungswesens 
durch den täglichen Einsatz von EC- und Kreditkarten bei Tankstellen, Waren- 
häusern u. Ä. oder die Nutzung von Datenverarbeitungsanlagen in Arztpraxen, 
Apotheken, Rechtsanwalts- und Steuerberaterkanzleien dazu geführt, dass im- 
mer mehr Klein- und Kleinstbetriebe durch den Einsatz automatisierter Daten- 
verarbeitung von der Pflicht zur Bestellung eines betrieblichen Datenschutzbe- 
auftragten erfasst werden. Die Beschränkung der Freistellung von Betrieben und 
Unternehmen, bei denen höchstens vier Arbeitnehmer mit automatisierter Daten- 
verarbeitung befasst sind, ist nicht mehr zeitgemäß. 

Zugleich hat die komplizierte Regelung des Bundesdatenschutzgesetzes in den 
betroffenen Betrieben und Unternehmen nicht selten zu Unklarheiten bei der Be- 
achtung der Meldepflicht und der Pflicht zur Bestellung eines betrieblichen Da- 
tenschutzbeauftragten geführt. 

Das Ziel des Gesetzentwurfs ist es daher, auch kleinere Betriebe und Unterneh- 
men, die mehr als vier Arbeitnehmer für automatisierte Datenverarbeitung ein- 
setzen, von der Meldepflicht und der Pflicht zur Bestellung eines betrieblichen 
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Datenschutzbeauftragten freizustellen. Hierdurch soll ein Beitrag zur Entbüro- 
kratisierung und Senkung der Kosten in den Betrieben geleistet werden. Zudem 
soll die Eigenverantwortung der nicht öffentlichen Stelle für die Einhaltung der 
datenschutzrechtlichen Bestimmungen gestärkt und durch eine Rechtsvereinfa- 
chung die Voraussetzung dazu geschaffen werden. 

Des Weiteren gab es in der Vergangenheit unterschiedliche Auffassungen der 
Aufsichtsbehörden der Länder über die Aufgaben, Rechte und Pflichten der sog. 
externen Datenschutzbeauftragten. Externe Datenschutzbeauftragte sind außer- 
halb der verantwortlichen Stelle stehende Personen, die von Betrieben an Stelle 
eines eigenen betrieblichen Beauftragten für den Datenschutz bestellt und mit 
der Wahrnehmung der Aufgabe betraut werden können. Insbesondere ist strittig, 
ob externe Datenschutzbeauftragte bei der Ausübung ihrer Tätigkeit bei nicht öf- 
fentlichen verantwortlichen Stellen, die besonderen Geheimhaltungspflichten 
unterliegen, eingeschränkt werden müssen. 


B. Lösung 

Das Bundesdatenschutzgesetz wird dahin gehend geändert, dass sowohl für das 
Entstehen der Meldepflicht als auch für die Bestellung eines betrieblichen Daten- 
schutzbeauftragten die Mindestzahl von bisher höchstens vier auf nunmehr 
höchstens neunzehn Arbeitnehmer erhöht wird. Auf die bisherige notwendige 
Unterscheidung zwischen der automatisierten Verarbeitung und der „auf andere 
Weise“ wird aus Gründen der Rechtsvereinfachung verzichtet. Zur Rechtssicher- 
heit wird nunmehr eine Regelung aufgenommen, dass interne und externe Daten- 
schutzbeauftragte die gleichen Aufgaben, Rechte und Pflichten haben und be- 
sondere Geheimhaltungspflichten der zu kontrollierenden verantwortlichen 
Stelle der Ausübung der Tätigkeit des externen Datenschutzbeauftragten nicht 
entgegenstehen. 

C. Alternativen 

Keine 


D. Finanzielle Auswirkungen 

1 . Haushaltsausgaben ohne Vollzugsaufwand 
Keine 

2. Völlzugsaufwand 

Die nach Landesrecht zuständigen Aufsichtsbehörden für die Kontrolle der 
Durchführung des Datenschutzes im nicht öffentlichen Bereich werden 
Einsparungen auf Grund der zurückgehenden Zahl von Meldungen nach 
§ 4d BDSG erzielen können. 

Es ist allerdings nicht auszuschließen, dass die Aufsichtsbehörden sich im Rah- 
men ihrer personellen Kapazitäten veranlasst sehen, vermehrt Prüfungen und 
Kontrollen bei der steigenden Zahl der nicht meldepflichtigen Betriebe und Un- 
ternehmen, die zudem auch keinen betrieblichen Datenschutzbeauftragten mehr 
zu bestellen haben, vorzunehmen. 


E. Sonstige Kosten 

Die vorgesehenen Änderungen werden sich für viele tausend kleine Betriebe und 
Unternehmen kostenmindernd auswirken, da sie von der Pflicht zur Meldung der 
Verfahren automatisierter Verarbeitungen an die Aufsichtsbehörde bzw. von der 
Bestellung eines betrieblichen Datenschutzbeauftragten befreit werden. Die 
Gesamtsumme der Einsparungen ist nicht zu quantifizieren. 
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Bundesrepublik Deutschland 
DER Bundeskanzler 


Berlin, den November 2005 


An den 

Präsidenten des 
Deutschen Bundestages 
Herrn Dr. Norbert Lammert 
Platz der Republik 1 
11011 Berlin 


Sehr geehrter Herr Präsident, 

hiermit übersende ich gemäß Artikel 76 Absatz 3 des Grundgesetzes den vom 
Bundesrat in seiner 814. Sitzung am 23. September 2005 beschlossenen 

Entwurf eines Gesetzes zur Änderung des 
Bundesdatenschutzgesetzes 


mit Begründung und Vorblatt (Anlage 1). 


Ich bitte, die Beschlussfassung des Deutschen Bundestages herbeizuführen. 


Federführend ist das Bundesministerium des Innern. 


Die Auffassung der Bundesregierung zu dem Gesetzentwurf ist in der als Anlage 2 
beigefugten Stellungnahme dargelegt. 


Mit freundlichen Grüßen 
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Anlage 1 


Entwurf eines Gesetzes zur Änderung des Bundesdatenschutzgesetzes 


Der Bundestag hat mit Zustimmung des Bundesrates das 
folgende Gesetz beschlossen: 

Artikel 1 

Änderung des Bundesdatensehutzgesetzes 

Das Bundesdatenschutzgesetz in der Fassung der Be- 
kanntmachung vom 14. Januar 2003 (BGBl. 1 S. 66), zuletzt 
geändert durch . . . , wird wie folgt geändert: 

1. ln § 4d Abs. 3 wird das Wort „vier“ durch die Zahl „19“ 
ersetzt. 

2. § 4f wird wie folgt geändert: 

a) Absatz 1 wird wie folgt geändert: 

aa) ln Satz 1 werden nach den Wörtern „Daten auto- 
matisiert“ die Wörter „oder auf andere Weise“ 
eingefügt. 

bb) Satz 3 wird gestrichen. 


cc) Die Sätze 4 bis 6 werden Sätze 3 bis 5. 

dd) Im neuen Satz 3 wird das Wort „vier“ durch die 
Zahl „19“ ersetzt. 

b) Nach Absatz 5 wird folgender Absatz 6 angefügt: 

„(6) Ein nach Absatz 2 Satz 2 bestellter Beauftrag- 
ter für den Datenschutz hat dieselben Aufgaben, Rech- 
te und Pflichten wie ein Beauftragter für den Daten- 
schutz innerhalb der verantwortlichen Stelle. Die 
verantwortliche Stelle und die bei ihr tätigen Personen 
können sich gegenüber dem Beauftragten für den Da- 
tenschutz, soweit er seine Aufgaben wahmimmt, nicht 
auf die in § 1 Abs. 3 Satz 2 genannten Geheimhal- 
tungspflichten berufen.“ 

Artikel 2 

Inkrafttreten 

Dieses Gesetz tritt am Tage nach seiner Verkündung in 
Kraft. 
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Begründung 


A. Allgemeiner Teil 

Seit der erstmaligen Einstellung von Regelungen über die 
Bestellung eines betrieblichen Datenschutzbeauftragten so- 
wie der Meldepflicht durch das am 1. Januar 1978 in Kraft 
getretene Bundesdatenschutzgesetz (BDSG) haben sich die 
Bedeutung und der Anwendungsbereich der automatisierten 
Datenverarbeitung erheblich gewandelt. 

Die Erhebung, Verarbeitung und Nutzung personenbezoge- 
ner Daten durch automatisierte Verfahren war damals die 
Ausnahme. Inzwischen ist die automatisierte Verarbeitung 
personenbezogener Daten sowohl im Handwerk und in der 
Industrie als auch bei den freiberuflich Tätigen die Regel. 
Dies wird vor allem deutlich durch den verbreiteten Einsatz 
automatisierter Zahlungssysteme, den täglichen Umgang mit 
EC- und Kreditkarten, und die Nutzung der automatisierten 
Datenverarbeitung in Arztpraxen, Apotheken, Steuerberater- 
und Rechtsanwaltskanzleien. 

Dies hat u. a. dazu geführt, dass heute viele tausend kleinere 
Betriebe und Unternehmen, die früher einen betrieblichen 
Datenschutzbeauftragten nicht zu bestellen hatten, weil über- 
wiegend keine automatisierte Datenverarbeitung erfolgte, in- 
zwischen von der Bestellpflicht betroffen sind. Um für diese 
Stellen auch weiterhin keine Verpflichtung zur Bestellung ei- 
nes betrieblichen Datenschutzbeauftragten entstehen zu las- 
sen, wird eine Erhöhung der zu niedrigen mit automatisierter 
personenbezogener Datenverarbeitung beschäftigten Arbeit- 
nehmerzahl vorgeschlagen. Damit diese Änderung zu keiner 
Erhöhung der Meldepflichten der nicht öffentlichen verant- 
wortlichen Stellen bei den zuständigen Aufsichtsbehörden 
der Länder führt, ist parallel eine identische Erhöhung der 
Höchstarbeitnehmerzahl für das Einsetzen der Meldepflicht 
nach § 4d Abs. 3 BDSG erforderlich. 

Die vorgesehenen Regelungen stehen mit der Richtlinie des 
Europäischen Parlaments und des Rates zum Schutz natür- 
licher Personen bei der Verarbeitung personenbezogener 
Daten und zum freien Datenverkehr vom 24. Oktober 1995 
(95/46/EG) im Einklang. 

Die Erhöhung der Anzahl der mit automatisierter Datenver- 
arbeitung befassten Arbeitnehmer von bisher 4 auf 1 9 in § 4d 
Abs. 3 BDSG sowie in § 4f Abs. 1 BDSG ist keine grundsätz- 
liche, neue Regelung. Sie ist lediglich eine angemessene An- 
passung an geänderte Lebenssachverhalte und eine Berück- 
sichtigung des technischen Wandels, der zu einer weiten 
Verbreitung automatisierter Verarbeitungsformen in fast al- 
len Lebensbereichen geführt hat. Die übrigen zum Schutz der 
Betroffenen bei Erhebung, Verarbeitung oder Nutzung perso- 
nenbezogener Daten getroffenen Regelungen bleiben unbe- 
rührt. So ist gemäß § 4 Abs. 3 BDSG weiterhin erforderlich, 
dass entweder eine Einwilligung der Betroffenen vorhegt 
oder die Erhebung, Verarbeitung oder Nutzung der Zweckbe- 
stimmung eines Vertragsverhältnisses oder vertragsähn- 
lichen Vertrauensverhältnisses mit den Betroffenen dient. 
Soweit von dem Einsatz der automatisierten Verarbeitungs- 
verfahren besondere Risiken für das Persönlichkeitsrecht ei- 
nes Einzelnen ausgehen, verbleibt es ohnehin auch künftig 
bei der Pflicht zur Bestellung eines betrieblichen Daten- 


schutzbeauftragten unabhängig von der Anzahl der mit der 
Verarbeitung beschäftigten Arbeitnehmer. 

Unter den Aufsichtsbehörden der Länder gibt es unterschied- 
liche Auffassungen über den Umfang der Aufgaben, die 
Rechte und die Pflichten der externen Datenschutzbeauftrag- 
ten. Es wird nunmehr klargestellt, dass externe Beauftragte 
den internen gleichgestellt sind. 


B. Zu den einzelnen Vorsehriften 

Zu Artikel 1 (Änderung des BDSG) 

Zu Nummer 1 (§ 4d BDSG) 

Die in § 4d Abs. 3 BDSG enthaltene Regelung stellt eine 
Ausnahme von der in § 4d Abs. 1 BDSG vorgesehenen 
grundsätzlichen Meldepflicht für automatisierte Verarbei- 
tungsverfahren dar. Nach der bisherigen Regelung entfallt 
die Meldepflicht, wenn die verantwortliche Stelle personen- 
bezogene Daten für eigene Zwecke erhebt, verarbeitet oder 
nutzt, hierbei höchstens vier Arbeitnehmer mit der Erhebung, 
Verarbeitung oder Nutzung personenbezogener Daten be- 
schäftigt und entweder eine Einwilligung des Betroffenen 
vorliegt oder die Erhebung, Verarbeitung oder Nutzung der 
Zweckbestimmung eines Vertragsverhältnisses oder vertrag- 
ähnlichen Vertrauensverhältnisses mit den Betroffenen dient. 
Mit der Änderung wird lediglich die Höchstmitarbeiterzahl 
auf 1 9 erhöht, die übrigen Voraussetzungen bleiben bestehen. 
Eine Meldepflicht setzt somit u. a. voraus, dass ein Unterneh- 
men mindestens 20 Arbeitnehmer mit der automatisierten Er- 
hebung, Verarbeitung oder Nutzung von personenbezogenen 
Daten beschäftigt. Ohne diese Regelung würde die unter 
Nummer 2 vorgesehene Änderung viele tausend Betriebe 
zwar von der Bestellung eines betrieblichen Datenschutzbe- 
auftragten befreien, sie aber gleichzeitig zur Meldung der 
Verfahren bei der Aufsichtsbehörde verpflichten. 

Zu Nummer 2 (§ 4f BDSG) 

Zu Buchstabe a (Absatz 1 ) 

Mit der vorgeschlagenen Änderung werden die Vorausset- 
zungen für die Bestellung eines betrieblichen Datenschutz- 
beauftragten erhöht. So wird zum einen die Unterscheidung 
zwischen der automatisierten und der kaum noch eine Rolle 
spielenden herkömmlichen personenbezogenen Datenverar- 
beitung aufgehoben, zum anderen wird die Zahl der Höchst- 
arbeitnehmerzahl wie in Nummer 1 auf 1 9 festgelegt. Das hat 
zur Folge, dass künftig nicht öffentliche Stellen grundsätz- 
lich einen betrieblichen Datenschutzbeauftragten erst zu be- 
stellen haben, wenn sie mindestens 20 Arbeitnehmer mit der 
Erhebung, Verarbeitung oder Nutzung personenbezogener 
Daten beschäftigen. 

Zu Buchstabe b (Absatz 6) 

In der Praxis ist strittig, ob ein nach Absatz 2 Satz 2 bestellter 
Beauftragter für den Datenschutz (sog. externer Daten- 
schutzbeauftragter) dieselben Rechte wie ein innerhalb der 
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verantwortlichen Stelle tätiger Datenschutzbeauftragter hat 
oder ob er sich von der verantwortlichen Stelle oder den dort 
tätigen Personen Geheimhaltungspflichten nach § 1 Abs. 3 
Satz 2, beispielsweise die ärztliche Schweigepflicht, entge- 
genhalten lassen muss. Die engere Sicht hat zur Folge, dass 
der externe Datenschutzbeauftragte bei der Wahrnehmung 
zumindest eines Teils seiner Aufgaben (z. B. bei der Über- 
wachung der ordnungsgemäßen Anwendung der Datenver- 
arbeitungsprogramme, unter Umständen auch bei der Be- 
schwerde eines Betroffenen) eingeschränkt ist, so dass 
innerhalb der verantwortlichen Stelle eine weitere Person für 
die Erledigung dieser Aufgaben bestellt werden muss. Dies 


karm dazu führen, dass sich Unternehmen, die gerne einen 
externen Datenschutzbeauftragten bestellen würden, letzt- 
lich doch für einen internen Datenschutzbeauftragten ent- 
scheiden. Dies wird in Zukunft nicht mehr nötig sein. Der 
neue Absatz 6 stellt im Sinne der bereits jetzt überwiegend 
vertretenen Auffassung klar, dass externe Datenschutzbeauf- 
tragte dieselben Aufgaben, Rechte und Pflichten haben wie 
interne. 

Zu Artikel 2 (Inkrafttreten) 

Die Vorschrift regelt das Inkrafttreten. 


Drucksache 16/31 


Deutscher Bundestag — 16. Wahlperiode 


Anlage 2 

Stellungnahme der Bundesregierung 


Die Bundesregierung begrüßt die Initiative des Bundesrates 
mit Blick auf eine angestrebte Entlastung von kleinen Betrie- 
ben und Unternehmen grundsätzlich. Einzelheiten des Ge- 
setzentwurfs, insbesondere der rechtliche Gestaltungsrah- 
men, müssen eingehend geprüft und in den weiteren 
parlamentarischen Beratungen berücksichtigt werden. 
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